CVE-2026-62967

اسم البرنامج المصاب والإصدارات المتأثرة ZTNET الإصدارات السابقة لـ 0.8.0

الوصف يمكن لأي مستخدم مصرح له بصلاحيات منخفضة إلغاء تنشيط أي حساب آخر بشكل دائم، بما في ذلك حسابات المسؤولين. يحدث هذا من خلال نقطة النهاية POST /api/auth/user/invalidateUser. تكمن المشكلة في src/pages/api/auth/user/invalidateUser.ts حيث تتحقق وظيفة getServerSession من وجود جلسة فقط ولكنها لا تقارن session.user.id مع متغير userId المقدم من العميل. من خلال تقديم userId الخاص بالضحية و deviceId لا يوجد له زوج مطابق في UserDevice يقوم المعالج بتعيين متغير isActive للحساب المستهدف إلى false. وبناءً على ذلك، يرفض الملف src/server/auth.ts محاولات تسجيل الدخول برسالة تفيد بأن الحساب منتهي الصلاحية. يحتاج المهاجم فقط إلى حساب مصرح له عادي ومعرف المستخدم الخاص بالضحية، والذي يمكن الحصول عليه من قوائم الأعضاء أو استجابات واجهة المستخدم أو السجلات أو البيانات الوصفية للتطبيق.

التوصيات التحديث إلى الإصدار 0.8.0. تجنب استخدام المعلمة userId في نقطة النهاية POST /api/auth/user/invalidateUser حتى يتم تطبيق التحديث.